信息安全风险评价培训

风险评估 风险评估（Risk Assessment）就
是对各方面风险进行辨识和分析的过程， 它包括风险分析和风险评价，是确认安 全风险及其大小的过程。
风险管理
风险管理（Risk Management ）就是以 可接受的代价，识别、控制、减少或消除可
能影响信息系统的安全风险的过程。
Hale Waihona Puke Baidu
6
相关概念
? 资产（Asset）—— 任何对企业具有价值的东西 ，包括计算机硬
人为因 素
恶意人 员
非恶意 人员
不满的或有预谋的内部人员对信息系统进行恶意破坏; 采用自主或内外勾结的方式 盗窃机密信息或进行篡改, 获取利益 外部人员利用信息系统的脆弱性,对网络或系统的机密 性、完整性和可用性进行破 坏,以获取利益或炫耀能 力
内部人员由于缺乏责任心,或者由于不关心和不专注, 或者没有遵循规章制度和操 作流程而导致故障或信息 损坏;内部人员由于缺乏培训、专业技能不足、不具备 岗 位技能要求而导致信息系统故障或被攻击。
务
换灰
边
好外普
部
交
服
部
内
服
交、
度
内
湿
、
度
温
完整性风险 机密性风险 可用性风险
确定风险处置策略
? 降低风险（Reduce Risk ）—— 采取适 当的控制措施来降低风险，包括技术手段 和管理手段，如安装防火墙，杀毒软件， 或是改善不规范的工作流程、制定业务连 续性计划，等等。
? 避免风险（Avoid Risk ）—— 通过消 除可能导致风险发生的条件来避免风险的 发生，如将公司内外网隔离以避免来自互 联网的攻击，或是将机房安置在不可能造
层理
资产价值的评估
信息安全属性
? 保密性CONFIDENTIALATY
– 确保信息只能由那些被授权使 用的人获取
? 完整性INTEGRITY
– 保护信息及其处理方法的准确 性和完整性
? 可用性AVAILABILITY
– 确保被授权使用人在需要时可 以获取信息和使用相关的资产
资产等级计算公式
其 它
企业形象、客户关系等
资产识别模型
管
人员、文档、制度
业理
OA EAI/EIP 工程管理 物资管理 生产管理 营销系统 人力资源 综合管理
务层
层数
数据 数据 数据 数据 数据 数据 数据 数据
应据
软件
软件
软件
软件
主用层
操作系统、主机设备
操作系统、主机设备
网机层
网络设备 1
网络设备 2
络物层
机房、通信链路
件、通信设施、建筑物、数据库、文档信息、软件、信息服务和人员等，所有这些资产都需 要妥善保护。
? 威胁（Threat ）—— 可能对资产或企业造成损害的某种安全事
件发生的潜在原因，通常需要识别出威胁源（ Threat source ）或威胁代理（ Threat agent ）。
? 弱点（Vulnerability ）—— 也被称作漏洞或脆弱性，即
信息安全风险评估
——从深夜一个回家的女孩开始讲起……
什么是风险评估？
风险评估的基本概念
各安全组件之间的关系
通俗的比喻
资产 威胁
弱点 风险 影响
100块 小偷
打瞌睡 钱被偷 没饭吃
服务器 黑客
软件漏洞 被入侵 数据失密
概述
风险 在信息安全领域，风险（Risk）就是指 各种威胁导致安全事件发生的可能性及 其对组织所造成的负面影响。
31
评价残留风险
? AV=F(AC,AI,AA)
– 例1：AV=MAX(AC,AI,AA) – 例2：AV=AC+AI+AA – 例3：AV=AC×AI×AA
威胁来源列表
来源 环境因素
描述
断电、静电、灰尘、潮湿、温度、鼠蚁虫害、电磁干 扰、洪灾、火灾、地震、意外 事故等环境危害或自然 灾害,以及软件、硬件、数据、通讯线路等方面的故障
一般风险计算方法：矩阵法和相乘法
矩阵法
风险评价示例
7000
6000
5000
4000
3000
2000
1000
0
击毒击作用毒意效效难效击水效效效等毒效毒
攻病攻操滥病恶失失灾失雷漏失失失电病失病
，合，误，络员务件
件
件源件静件路质
员混工员工网人服硬
硬
人
员人员
部础机
器
软电软、邮链介
器
机尘
界
奇部通
外基换
务
威 胁 分 类 表
脆弱性识别内容表
威胁与脆弱性之间的关系
风险分析原理
定性风险分析
风险计算方法
风险值=R(A,T,V)= R(L(T,V),F(Ia,Va ))
其中,R 表示安全风险计算函数 ;A 表示资产;T 表示威 胁;V 表示脆弱性; Ia 表示安全事件所作用的资产价 值;Va 表示脆弱性严重程度 ;L 表示威胁利用资产的脆 弱性导致安全事件发生的可能性 ;F 表示安全事件发 生后产生的损失。
风险管理的目标
影响
影响
风险
威胁
脆弱性
原有风险
RRIISKSK
风R险ISK
威胁 脆弱性
采取措施后的剩余风险
资产分类方法
分 类
示例
数 保存在信息媒介上的各种数据资料,包括源代码、数据库数据、系统 据 文档、运行管理规程、 计划、报告、用户手册、各类纸质的文档等
软 件
系统软件:操作系统、数据库管理系统、语句包、开发系统等 应用软件:办公软件、数据库软件、各类工具软件等 源程序:各种共享源代码、自行或合作开发的各种代码等
网络设备:路由器、网关、交换机等
计算机设备:大型机、小型机、服务器、工作站、台式计算机、便携
计算机等
硬 件
存储设备:磁带机、磁盘阵列、磁带、光盘、软盘、移动硬盘等 传输线路:光纤、双绞线等 保障设备: UPS、变电设备等、空调、保险柜、文件柜、门禁、消防
设施等
安全保障：防火墙、入侵检测系统、身份鉴别等
资产或资产组中存在的可被威胁利用的缺点，弱点一旦被利用，就可能对资产造成损害。
? 风险（Risk ）—— 特定威胁利用资产弱点给资产或资产组带来损
害的潜在可能性。
? 可能性（Likelihood ）—— 对威胁发生几率（ Probability ）
或频率（ Frequency ）的定性描述。
? 影响（Impact ）—— 后果（Consequence ），意外事件发生给
其他:打印机、复印机、扫描仪、传真机等
资产分类方法
分 类
示例
信息服务:对外依赖该系统开展的各类服务 网络服务:各种 服 网络设备、设施提供的网络连接服务 办公服务:为提高效 务 率而开发的管理信息系统,包括各种内部配置管理、文件
流转管理等服务
人 掌握重要信息和核心业务的人员,如主机维护主管、网络 员 维护主管及应用项目经理等